Γιατί ένας φορητός σε τομέα δέχεται τον παλιό κωδικό εκτός σύνδεσης

Η αλλαγή κωδικού πρόσβασης φτάνει παντού ταυτόχρονα, εκτός από το ένα φορητό υπολογιστή που έμεινε εκτός σύνδεσης για μια εβδομάδα. Το webmail δέχεται τον νέο κωδικό, ένας σταθερός υπολογιστής στο γραφείο τον δέχεται, και το απομακρυσμένο μηχάνημα εξακολουθεί να συνδέεται με τον παλιό όταν το VPN είναι κάτω. Δεν είναι δεύτερος κωδικός ούτε σφάλμα συγχρονισμού στον κατάλογο. Είναι ο αποθηκευμένος επαληθευτής σύνδεσης που κάνει αυτό για το οποίο σχεδιάστηκε, και η λύση είναι μια αλληλουχία βημάτων, όχι επαναφορά.

Ο φορητός ελέγχει έναν αποθηκευμένο επαληθευτή

Το Windows που έχει ενωθεί σε τομέα κρατά έναν τοπικό επαληθευτή για πρόσφατες επιτυχείς διαδραστικές συνδέσεις, ώστε το μηχάνημα να εκκινεί όταν δεν απαντά κανένας ελεγκτής τομέα. Ο επαληθευτής αυτός παράγεται από τον κωδικό όπως ήταν κατά τη σύνδεση εκείνη. Η αλλαγή του κωδικού αλλού ενημερώνει τον κατάλογο, όχι το αντίγραφο σε έναν φορητό που δεν έχει μιλήσει μαζί του από τότε.

Έτσι, ο παλιός κωδικός μπορεί ακόμη να ανοίξει την τοπική συνεδρία ενώ είναι άκυρος για οποιαδήποτε νέα πιστοποίηση τομέα. Πρόκειται για δύο διαφορετικές παρατηρήσεις, και η σύγχυσή τους οδηγεί σε επαναλαμβανόμενες επαναφορές.

Επιβεβαιώστε ποιο διαπιστευτήριο χρησιμοποιείται πραγματικά πριν αλλάξετε οτιδήποτε άλλο. Ένα PIN του Windows Hello, μια σύνδεση με Entra ID και ένας παραδοσιακός κωδικός τομέα είναι ξεχωριστοί μηχανισμοί, και το PIN ειδικά δεν είναι ο κωδικός τομέα ακόμη και όταν ξεκλειδώνει την ίδια επιφάνεια εργασίας.

Η πιστοποίηση δικτύου δεν είναι διαδραστική σύνδεση

Το άνοιγμα ενός κοινόχρηστου φακέλου με τον νέο κωδικό αποδεικνύει ότι η διαδρομή δικτύου λειτουργεί. Δεν ανανεώνει την προσωρινή μνήμη της διαδραστικής σύνδεσης, γιατί το Windows αντιμετωπίζει την πιστοποίηση δικτύου και τη διαδραστική ως ξεχωριστές λειτουργίες με ξεχωριστή κατάσταση.

Ο επαληθευτής ανανεώνεται μόνο όταν μια διαδραστική σύνδεση επικοινωνεί πραγματικά με ελεγκτή τομέα· μια αντιστοιχισμένη μονάδα δίσκου ή ένα μήνυμα του Outlook δεν το κάνουν.

Αυτή η διάκριση εξηγεί τη συνηθισμένη αναφορά: ο χρήστης μπορεί να διαβάσει αλληλογραφία και να ανοίξει το intranet, αλλά η οθόνη κλειδώματος ζητά ακόμη τον παλιό κωδικό. Εξηγεί επίσης γιατί ένα VPN που ξεκινά μετά τη σύνδεση δεν μπορεί να βοηθήσει την αρχική σύνδεση, αφού η σήραγγα φτάνει αφού η απόφαση έχει ήδη ληφθεί τοπικά.

Εξασφαλίστε μία διαδικτυακή σύνδεση την κατάλληλη στιγμή

Η προσωρινή μνήμη ανανεώνεται όταν ο χρήστης συνδέεται διαδραστικά ενώ ο τομέας είναι προσβάσιμος. Για ένα απομακρυσμένο μηχάνημα αυτό σημαίνει ότι η σήραγγα πρέπει να υπάρχει πριν αξιολογηθεί το διαπιστευτήριο, όχι αφού εμφανιστεί η επιφάνεια εργασίας.

Ελέγξτε αν η ανάπτυξη υποστηρίζει συνδεσιμότητα πριν από τη σύνδεση ή σήραγγα συσκευής. Αυτές είναι σχεδιασμένες για αυτόν τον χρονισμό, και μια σήραγγα χρήστη δεν τις αντικαθιστά:

nltest /dsgetdc:corp.example
klist

Αν το τελικό σημείο δεν έχει διαδρομή πριν από τη σύνδεση, χρησιμοποιήστε όποια υποστηριζόμενη διαδικασία ανάκτησης τεκμηριώνει ο οργανισμός. Κάποια περιβάλλοντα χρησιμοποιούν αλληλουχία σύνδεσης, κλειδώματος και ξεκλειδώματος με τη σήραγγα ανοιχτή στην οθόνη κλειδώματος· άλλα στέλνουν τη συσκευή σε διαχειριζόμενο βήμα ανάκτησης. Ακολουθήστε αυτό που ταιριάζει στον πελάτη και, πριν βασιστείτε σε αυτό, επιβεβαιώστε ότι η σήραγγα επιβιώνει από την οθόνη κλειδώματος.

Προστατέψτε τον δρόμο της επιστροφής

Πριν αποσυνδεθείτε από ένα απομακρυσμένο μηχάνημα, αποφασίστε πώς θα φτάσει η επόμενη σύνδεση στον τομέα. Μια σήραγγα χρήστη που πέφτει μαζί με τη συνεδρία μπορεί να αφαιρέσει τη μόνη διαδρομή στην οποία βασιζόσασταν, και τότε ούτε ο παλιός ούτε ο νέος κωδικός σας περνά από την οθόνη κλειδώματος. Κρατήστε τοπικό λογαριασμό διαχειριστή ή κονσόλα εκτός ζώνης ως εφεδρικό. Γράψτε το βήμα ανάκτησης εκεί όπου ο χρήστης μπορεί να το φτάσει χωρίς σύνδεση.

Για υποστήριξη, συλλέξτε τέσσερα γεγονότα: πού άλλαξε ο κωδικός, ποιο διαπιστευτήριο λειτουργεί ακόμη εκτός σύνδεσης, αν ο ελεγκτής τομέα είναι προσβάσιμος μέσω της σήραγγας και ποια μέθοδο σύνδεσης χρησιμοποιεί ο φορητός.

Αυτά τα τέσσερα ξεχωρίζουν έναν παρωχημένο επαληθευτή από κλείδωμα λογαριασμού ή απορριφθείσα σύνδεση VPN, που μοιάζουν σε ένα δελτίο και έχουν διαφορετικές λύσεις. Ένας κλειδωμένος λογαριασμός θα απορρίψει τον νέο κωδικό και διαδικτυακά, οπότε δοκιμάστε το πριν κατηγορήσετε την προσωρινή μνήμη.

Κλείστε τον κύκλο με μία διαδικτυακή σύνδεση

Ο στόχος είναι μία υποστηριζόμενη διαδραστική σύνδεση όσο ο τομέας είναι προσβάσιμος, ακολουθούμενη από γνωστή κατάσταση εκτός σύνδεσης. Αυτό το μεμονωμένο γεγονός ανανεώνει τον επαληθευτή και τερματίζει τον κύκλο αλλαγής του κωδικού σε κάθε συσκευή.

Επαληθεύστε την κατάσταση μετά με το πλήθος αποθηκευμένων συνδέσεων και μια αναζήτηση ελεγκτή τομέα:

reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon" /v CachedLogonsCount
nltest /sc_verify:corp.example

Αν το πλήθος είναι μηδέν, η αποθηκευμένη σύνδεση είναι απενεργοποιημένη από πολιτική και η συμπεριφορά εκτός σύνδεσης δεν θα αλλάξει όσες φορές κι αν γίνει επαναφορά του κωδικού. Είναι απόφαση πολιτικής που πρέπει να τεθεί στον ιδιοκτήτη, όχι παράκαμψη για τοπική εφαρμογή.